Einreichung eines Datenschutzkonzeptes:
Da es sich bei der ausgeschriebenen Leistung - Digitalisierung und anschließende Vernichtung von Altakten der Hauptabteilung Beitrag und Finanzen am Standort München und Erfurt - um eine Verarbeitung von Sozialdaten im Auftrag handelt, wird mit dem Auftragnehmer eine Vereinbarung über eine Auftragsverarbeitung nach Maßgabe des Art. 28 DSGVO i. V. m. § 80 SGB X abgeschlossen.
Im Rahmen der vorgesehenen Auftragsverarbeitung erhält der Auftragnehmer Zugang zu Sozialdaten und sonstigen personenbezogenen Daten. Es besteht ein normales Risiko für die Rechte und Freiheiten natürlicher Personen.
Die Auftraggeberin erwartet im Rahmen der Angebotsabgabe eine präzise Darstellung, wel-che geeigneten technischen und organisatorischen Maßnahmen der Bieter im Rahmen der Auftragsverarbeitung gewährleistet, um ein dem Risiko angemessenes Schutzniveau sicher-zustellen.
Hierbei sollte der Bieter konkret auf die angebotenen Verfahren, Schnittstellen und die einzelnen Datenverarbeitungsschritte eingehen. Dies beinhaltet, wie folgende Anforderungen und Maßnahmen gewährleistet werden:
die Zugangskontrolle,
die Datenträger-/ Speicherkontrolle,
die Benutzerkontrolle,
die Zugriffskontrolle,
die Übertragungs- /Transportkontrolle,
die Eingabekontrolle,
die Zuverlässigkeit und Wiederherstellbarkeit der Systeme,
die Datenintegrität,
die Auftragskontrolle,
die Verfügbarkeit der Daten,
die Datentrennung,
die Datenlöschung.
Entsprechende bereits vorhandene Nachweise, Zertifizierungen und Dokumentationen zu technischen und organisatorischen Maßnahmen, die der Bieter für die hier ausgeschriebene Leistung gewährleistet, sind in der Dokumentation beizufügen.
Zwischen Abschluss des Ausschreibungsverfahrens und einer beabsichtigten Auftragsvergabe wird mit dem Bieter ggfls. ein Termin zur Überprüfung der technischen und organisatorischen Maßnahmen vor Ort vereinbart. Sollte sich im Rahmen dieser Überprüfung ergeben, dass die erforderlichen datenschutzrechtlichen Anforderungen nicht erfüllt werden, kann der Zuschlag nicht an diesen Bieter erfolgen. In diesem Fall wird dasselbe Verfahren mit dem zweitplatzierten Bieter durchgeführt.
Eine Vereinbarung der abzuschließenden Auftragsverarbeitungsvereinbarung ist in Anlage 1 zum Vertrag beigefügt.
Anzeigepflicht bei Auftragsverarbeitung durch Dritte:
Eine Auftragsverarbeitung von Sozialdaten ist von der Auftraggeberin gemäß § 80 Abs. 1 SGB X bei deren Aufsichtsbehörde rechtzeitig vor Auftragserteilung anzuzeigen.
Der Aufsichtsbehörde ist Gelegenheit zu geben, noch vor Auftragserteilung die mitgeteilten Angaben zu prüfen und durch Beratung oder auf andere Weise tätig zu werden, um eine spätere Beanstandung zu vermeiden.